[发明专利]一种DNS递归服务器的拟态安全方法及装置

权利要求书

1.一种DNS递归服务器的拟态安全方法，其特征在于：包含如下步骤：

步骤1：接收用户查询请求，经SDN交换机将其引流至安全服务链，对其进行筛选、过滤及攻击检测，参数管理器获取攻击检测数据后向选调器下发对应的参数信息；

步骤2：对选调器查询请求队列中的每个查询请求，选调模块依据参数管理器下发的参数、各个DNS服务器状态信息以及选调策略，选取若干DNS服务器发送查询请求；

步骤3：判决模块接收DNS服务器的响应信息，对结果进行大数判决，若通过判决，则将结果返回用户，反之，重新查询，并更新DNS服务器池中各个服务器的状态信息；

其中：所述步骤1包含如下步骤：

步骤101：SDN控制器依据安全策略，通过流表管理器下发流表信息至SDN交换机将查询请求引流至相应安全服务链；

步骤102：请求依次通过防火墙，深度包检测，DNS攻击检测，进行筛选、过滤，然后将查询请求发往选调器，加入查询请求队列，并且参数管理器从DNS攻击检测服务获取数据处理后下发至选调器；

所述参数信息为DNS服务器状态信息的系数，即计算选取因子时所需的可信度的系数、负载量的系数和选取因子阈值。

2.根据权利要求1所述的DNS递归服务器的拟态安全方法，其特征在于：选调模块包含如下步骤：

步骤201：获取各个DNS服务器的选取因子；

步骤202：判断所有选取因子超过阈值的DNS服务器个数是否大于等于3个：如果少于3个，则进入步骤203：随机模式下，随机选取一个DNS服务器发送查询请求；反之，则进入步骤204：异构冗余模式下，随机选取一个大于等于3的奇数n，从超过阈值的DNS服务器中依选取因子为概率选取出n个发送查询请求。

3.根据权利要求2所述的DNS递归服务器的拟态安全方法，其特征在于：所述选取因子由可信度，负载量与参数管理器下发的系数相乘后相加确定。

4.根据权利要求1所述的DNS递归服务器的拟态安全方法，其特征在于：所述步骤3包含如下步骤：

步骤301：判断是否为异构冗余模式，如果不是，则进入步骤302：将DNS服务器相应结果直接返回用户；反之，进入303：对n个DNS服务器的响应结果进行大数判决；

步骤304：判断是否通过大数判决，即判断某一响应结果的统计个数是否大于等于(n/2)，如果未通过，则进入步骤305：重新查询；如果通过，则进入步骤306：将判决结果返回用户；

步骤307：更新DNS服务器池各个DNS服务器状态信息。

5.一种实现权利要求1所述的DNS递归服务器的拟态安全方法的装置，其特征在于，包括以下装置：

SDN交换机，将用户查询请求，引流至安全服务链，对其进行筛选、过滤及攻击检测，在数据平面进行路由、转发，并将统计数据上传SDN控制器；

SDN控制器，将上层安全策略相应的流表项，下发至SDN交换机，向选调器下发状态信息的系数；所述SDN控制器包括：参数管理器和流表管理器；参数管理器，用于获取安全服务链中DNS攻击检测等模块的攻击特征数据，计算并将状态信息的系数下发至选调器，以及根据具体的攻击特征，动态调整相关参数，应对相应的攻击；流表管理器，用于依据上层安全策略，参考从参数管理器获取的攻击特征数据，为查询请求选择安全服务链的路径，管理和下发出入口SDN交换机的流表项；

选调器，用于处理用户查询请求；

所述选调器包括选调模块和判决模块；选调模块，接收用户请求后，依据选调策略及参数管理器下发的参数选取DNS服务器，并发送查询请求；判决模块，接收DNS服务器响应后，依据判决策略进行判决处理，将结果返回给对应用户，并更新各个DNS服务器的状态信息；

所述DNS服务器池，用于响应选调器的查询请求。